každý zákazník má jiný seznam bezpečnostních otázek, musím pokaždé znovu začínat

Každý seznam má jiné pořadí stejných deseti opatření

Ne, ve většině případů ne - otázky se liší formulací, ale u téměř každého zákazníka se týkají stejných základních bodů. Jedna banka se ptá na "postup pro řešení incidentů", druhá na "jak se zpracovávají incidenty bezpečnosti" a třetí na "detekce a hlášení kybernetických incidentů". To je třikrát postupem pro řešení bezpečnostních incidentů, třikrát stejná odpověď ze stejného spisu. Totéž platí pro přístup, zálohy, správu zranitelností a bezpečnost řetězce u dodavatelů: prakticky každý seznam otázek se redukuje na podmnožinu deseti opatření z článku 21 odst. 2 NIS2, i když si sám zákazník na NIS2 neodkazuje.

Práce tedy nespočívá v neustálém přeformulování odpovědí, ale v rozpoznání, která otázka patří k jakému základnímu bodu. Otázka o "politice hesel a dvoustupňovém ověřování" je prostě vícefaktorové ověřování jinými slovy. Otázka o "riziku dodavatele" nebo "riziku třetí strany" je požadavky na bezpečnost vlastních dodavatelů. Jakmile je tento soubor jednou na místě, je každý následující seznam především o porovnávání a potvrzování, ne o novém přepsání.

Na co se to odkazuje: článek 21 odst. 2 a Příloha A

Článek 21 odst. 2 směrnice NIS2 (2022/2555) uvádí deset kategorií opatření — analýza rizik, řešení incidentů, kontinuita podnikání, zabezpečení dodavatelského řetězce, politika zranitelnosti, kryptografie, politika přístupu, MFA, povědomí a testování opatření. Prakticky každý bezpečnostní dotazník banky, pojišťovny nebo velkých obchodních partnerů je vlastním překladem (části) těchto stejných deseti bodů, často doplněný otázkami, které doslova pochází z Přílohy A normy ISO/IEC 27001. To vysvětluje, proč se formulace liší, ale základní obsah ne: jedná se o dva pevné rámce, nikoli tisíc samostatných požadavků zákazníků.